Fuite de données revendiquée chez BCTI : des données de partenaires et 21 pièces d’identité exposées Une fuite de données visant BCTI (Bureau de Conformité Technique & Innovation) a été revendiquée le 3 septembre 2026 sur un forum cybercriminel. Un acteur utilisant le pseudonyme ChimeraZ affirme avoir récupéré puis publié une base de données partielle attribuée à la plateforme partenaires.bcti.fr. La publication revendique environ 12 Mo de données aux formats JSON et PDF. L’auteur affirme également qu’un dossier contient 21 pièces d’identité françaises. Quelles données semblent exposées ? L’échantillon publié présente principalement des informations liées aux missions, interventions et partenaires de BCTI. Parmi les champs visibles figurent notamment : • des identifiants de missions ; • des dates de clôture et de validation ; • des informations sur le type de mission ; • des montants à facturer ; • des informations relatives aux diagnostics ; • des noms de clients ; • des adresses de biens immobiliers ; • des informations liées aux agences ou partenaires ; • des données relatives à la facturation et aux éventuels remboursements. Des informations directement identifiantes apparaissent dans l’échantillon. Elles ne sont volontairement pas reproduites ici. 21 pièces d’identité revendiquées L’élément le plus sensible de la publication concerne la présence alléguée de 21 pièces d’identité françaises. Selon l’auteur, celles-ci seraient regroupées dans un dossier distinct au sein des données publiées. Si leur authenticité est confirmée, l’exposition de documents d’identité représente un risque important, notamment en matière d’usurpation d’identité et de fraude. La capture permet toutefois uniquement de constater la revendication de l’auteur et ne permet pas de vérifier indépendamment le contenu des 21 documents annoncés. Une base partielle de 12 Mo Contrairement à d’autres publications du même acteur, aucun nombre précis de personnes concernées n’est affiché. L’auteur présente les données comme une base partielle provenant de partenaires.bcti.fr, représentant environ 12 Mo aux formats JSON et PDF. Il n’est donc pas possible, à partir de la seule publication, de déterminer le nombre total de personnes, partenaires ou organisations concernés. Une fuite publiée sur un forum cybercriminel La publication est intitulée « [FR] 1K Partenaires.bcti.fr » et a été mise en ligne le 3 septembre 2026 par ChimeraZ. L’auteur affirme explicitement publier des données provenant de la plateforme partenaires de BCTI et fournit un échantillon pour appuyer sa revendication. Cet échantillon apporte des éléments permettant d’étudier la structure des données, mais ne suffit pas à confirmer indépendamment l’origine et l’authenticité de l’intégralité des fichiers publiés. Un vecteur de compromission inconnu La publication ne précise pas comment les données auraient été obtenues. Aucune vulnérabilité, méthode d’intrusion ou technique d’exfiltration particulière n’est démontrée par la capture. La date réelle de récupération des données reste également inconnue. Leur publication le 3 septembre 2026 ne signifie pas nécessairement que l’intrusion ou l’extraction a eu lieu à cette date. Quels sont les risques ? Les informations professionnelles et immobilières revendiquées pourraient être utilisées pour mener des campagnes de phishing ou d’ingénierie sociale ciblées. L’éventuelle exposition de pièces d’identité constitue un risque supplémentaire en raison de leur possible utilisation dans des tentatives de fraude ou d’usurpation d’identité. Ce qui reste à confirmer Plusieurs éléments restent inconnus : • l’authenticité de l’intégralité des données ; • le nombre exact de personnes concernées ; • l’authenticité et la nature des 21 pièces d’identité revendiquées ; • la date réelle d’extraction des données ; • le vecteur de compromission ; • l’existence éventuelle d’autres données exfiltrées. Conclusion Une fuite de données attribuée à BCTI a été revendiquée le 3 septembre 2026 par un acteur utilisant le pseudonyme ChimeraZ. L’auteur affirme avoir publié une base partielle de 12 Mo provenant de partenaires.bcti.fr, comprenant notamment des informations sur des missions, des clients, des biens immobiliers et des partenaires. La publication revendique également la présence de 21 pièces d’identité françaises, un élément particulièrement sensible qui reste à vérifier indépendamment. Le nombre total de personnes concernées, l’origine complète des données, la méthode utilisée pour les obtenir et l’étendue réelle de la compromission restent inconnus.
BCTI : fuite de données — ce que l’on sait, que faire
